Privacy-Preserving Machine Learning from Storage to Inference: Integrating Authenticated Encryption with Fully Homomorphic Encryption

당신의 소득, 건강 기록, 가족 상세 정보와 같은 가장 민감한 개인 기록을 강력한 컴퓨터가 클라우드에서 분석하되, 그 컴퓨터들이 실제 정보를 결코 보지 못하는 세상을 상상해 보십시오. 이것이 바로 프라이버시 보존 머신러닝(privacy-preserving machine learning)이라 불리는 분야의 약속입니다. 수년 동안 큰 장애물이 존재해 왔습니다. 데이터를 분석하려면 대개 데이터를 잠금 해제하여, 서버에 접근 권한이 있는 누구라도 읽을 수 있는 평문으로 변환해야 했기 때문입니다. 우리는 하드 드라이브에 데이터가 저장되어 있을 때 데이터를 잠가 두는 훌륭한 방법들을 가지고 있고, 인터넷을 통해 이동하는 동안 보호하는 좋은 방법들도 가지고 있지만, 계산을 위해 데이터가 처리되는 순간에는 종종 취약해지곤 합니다. 완전 동형 암호(fully homomorphic encryption)로 알려진 새로운 기술은 데이터를 잠긴 상태로 두면서도 컴퓨터가 그 데이터를 한 번도 해제하지 않고 수학적 연산을 수행할 수 있게 함으로써 이 문제를 해결하고자 합니다. 그러나 데이터가 저장된 순간부터 분석되어 반환되는 순간까지 데이터를 보호하는 시스템을 구축하는 것은 여전히 복잡한 과제로 남아 있었습니다.

한 연구팀이 이 두 세계를 연결하는 작동 가능한 프로토타입을 구축하고 테스트했습니다. 그들은 데이터가 저장되어 있을 때는 강력한 디지털 인장으로 데이터를 잠가 두고, 원격 서버에서 분석되는 동안에는 더 복잡한 방식으로 데이터를 잠가 두는 시스템을 만들었습니다. 목표는 이 이중 계층 보호 방식이 결과의 정확도를 해치지 않으면서 실제 워크플로에서 작동할 수 있는지 확인하는 것이었습니다. 연구진은 로지스틱 회귀(logistic regression)라고 불리는 특정 유형의 분석에 집중했는데, 이는 소득이나 교육과 같은 요인을 바탕으로 가구의 취약성을 결정하는 것과 같이 숫자 세트를 기반으로 결과를 예측하는 데 자주 사용됩니다. 그들은 신뢰할 수 없는 서버로 이 데이터를 보내, 서버가 암호화된 데이터에 대해 숫자를 계산하게 하고, 다시 올바른 답을 얻어내는 동시에 서버가 절대 원본 숫자나 이를 해제할 키를 보지 못하도록 할 수 있는지 알고 싶었습니다.

이를 테스트하기 위해 연구팀은 2,000개의 가짜 가구 기록을 생성했습니다. 이것은 실제 사람이 아니라, 가구 규모 및 물과의 거리와 같은 10가지 서로 다른 수치적 특징을 포함하여 실제 세계의 정보 구조를 모방하도록 설계된 합성 데이터였습니다. 그들은 이 데이터를 사용하여 '취약성' 라벨을 예측하는 컴퓨터 모델을 훈련시켰습니다. 먼저, 그들은 일반적인 잠금 해제된 데이터로 분석을 실행하여 기준점(baseline)을 설정했습니다. 이 표준 모델은 매우 잘 작동하여 기록의 상태를 약 90%의 확률로 정확하게 식별했습니다. 이 높은 점수는 그들의 암호화 시스템을 측정하기 위한 골드 스탠다드(gold standard) 역할을 했습니다.

다음으로, 그들은 보안 파이프라인을 구축했습니다. 사용자가 기록을 분석하고자 할 때, 시스템은 먼저 데이터를 검색하는데, 이때 데이터는 단순히 암호화될 뿐만 아니라 누군가 데이터를 조작했는지 확인하기 위한 디지털 지문(digital fingerprint)이 추가되어 보호됩니다. 사용자의 컴퓨터는 로컬에서 기록을 잠금 해제하고 준비한 뒤, 특수한 동형 암호를 사용하여 다시 잠급니다. 이 새로운 잠금 방식은 원격 서버가 실제 숫자를 보지 않고도 필요한 수학 연산을 수행할 수 있게 합니다. 연구진이 신뢰할 수 없는 것으로 간한 서버는 오직 암호화된 데이터와 암호화된 모델만을 받습니다. 서버는 계산을 수행하고 암호화된 결과를 사용자에게 다시 보내며, 사용자는 이를 잠금 해제하여 최종 예측을 확인합니다.

결과는 이 접근 방식이 작동한다는 것을 보여주었습니다. 연구진이 암호화된 시스템의 예측치를 골드 스탠다드와 비교했을 때, 그 차이는 거의 눈에 띄지 않았습니다. 다양한 수치 정밀도로 테스트된 암호화 모델은 약 90%에서 91% 사이의 정확도 점수를 달성하여, 잠금 해제된 모델의 성능과 거의 일치했습니다. 실제로, 암호화된 시스템의 한 특정 구성은 서로 다른 집단 간을 구별하는 척도에서 약간 더 높은 점수를 기록하기도 했으나, 연구진은 이것이 미미한 차이이며 암호화가 모델 자체를 개선한다는 의미는 아니라고 언급했습니다. 핵심적인 결론은 프라이버시 보호가 수학적 계산을 망가뜨리지 않았다는 것입니다.

하지만, 이러한 프라이버시는 속도라는 비용을 수반합니다. 표준적인 잠금 해제된 분석은 거의 즉각적으로 이루어지는 반면, 암호화된 버전은 훨씬 더 오래 걸렸습니다. 연구진은 서버가 단 하나의 기록을 처리하는 데 걸리는 시간을 측정했으며, 그 결과 30밀리초에서 31밀리초 사이가 걸린다는 것을 발견했습니다. 이 수치가 빨라 보일 수도 있지만, 잠금 해제된 데이터로 작업을 수행하는 것에 비하면 상당한 증가입니다. 콜드 스토리지 캐시에서 데이터를 가져오는 시간을 포함한 별도의 테스트에서, 한 개의 기록을 처리하는 전체 프로세스는 거의 700밀리초가 걸렸습니다. 연구진은 이 수치들이 자신들의 설정과 사용된 모델 유형에 국한된 것임을 강조하며, 이 기술이 여전히 계산 집약적이라는 점을 분명히 했습니다.

또한, 이 시스템은 조작에 대해 견고함을 입증했습니다. 연구진은 의도적으로 서버에 저장된 암호화된 데이터의 단 1바이트를 변경해 보았습니다. 시스템이 이 수정된 데이터를 읽으려고 시도했을 때, 디지털 지문 검증에 실패하였고, 시스템은 해당 파일을 올바르게 거부하여 손상된 정보가 사용되는 것을 방지했습니다. 나아가, 시스템은 한 사용자가 다른 사용자의 파일에 접근하는 것을 성공적으로 차단함으로써 스토리지 계층이 데이터를 효과적으로 격리하고 있음을 보여주었습니다.

연구는 데이터가 저장되어 있는 동안과 외부 당사자에 의해 분석되는 동안 모두 데이터를 보호하는 완전한 엔드 투 엔드(end-to-end) 시스템을 구축하는 것이 가능하다는 결론을 내립니다. 프로토타입은 여러분이 만약 처리 속도가 느려지는 것을 감수할 용의가 있다면, 높은 수준의 보안을 얻기 위해 정확도를 희생할 필요가 없다는 것을 입증했습니다. 이 연구는 모든 보안 컴퓨팅 문제를 해결했다고 주장하는 것이 아닙니다. 연구진은 자신들의 테스트가 단순한 합성 데이터와 기초적인 모델을 사용했음을 언급했습니다. 그들은 이 시스템이 거대한 데이터셋, 복잡한 인공지능 모델, 또는 악의적인 서버가 시스템을 속이려는 능동적인 공격을 어떻게 처리할지에 대해서는 테스트하지 않았습니다. 그럼에도 불구하고, 이 실험은 개념 증명(proof of concept)으로서 역할을 합니다. 이는 데이터 핸들링의 두 가지 중요한 단계인 저장과 추론(inference)을 강력한 암호화와 결합하여, 민감한 정보가 저장되는 순간부터 답이 반환되는 순간까지 소유자의 통제하에 머물 수 있는 워크플로를 만들 수 있음을 보여줍니다.